Valve bestätigt Datenleck bei Steam in Verbindung mit Versandpartner
Valve hat damit begonnen, Kunden über ein Datenleck zu informieren, das nicht auf den eigenen Servern entstanden ist, sondern ein Drittunternehmen getroffen hat, das für die Lieferung von Steam-Hardware zuständig ist. Der Vorfall erinnert daran, dass selbst Unternehmen mit starken internen Sicherheitspraktiken durch die Anbieter und Logistikpartner verwundbar bleiben, auf die sie angewiesen sind, um physische Produkte wie Steam Decks, Steam Machines oder Valve Index-Headsets an die Kunden zu bringen.
Den Berichten über das Leck zufolge war das kompromittierte Unternehmen für die Abwicklung von Sendungen verantwortlich, die mit Bestellungen von Steam-Hardware verbunden waren. Ein Cyberangriff auf diesen Anbieter führte zum Diebstahl von Kundendaten, woraufhin Valve direkt betroffene Nutzer benachrichtigte. Obwohl Valve die kompromittierten Systeme nicht selbst betrieb, ist es nun das Unternehmen, das die Kommunikation mit den Kunden und die Beruhigung übernimmt, da die Marke und das Vertrauen der Kunden in Valve auf dem Spiel stehen.
Welche Daten offengelegt wurden und welche nicht
Eines der wichtigeren Details in der Offenlegung von Valve ist, was tatsächlich gestohlen wurde. Valve stellte klar, dass die durchgesickerten Daten aus veralteten einmaligen Textcodes bestanden, und betonte, dass diese Informationen nicht mit Steam-Konten, Passwörtern oder finanziellen Details verknüpft waren. Diese Unterscheidung ist für jeden von großer Bedeutung, der sein tatsächliches Risiko einschätzen möchte.
Ein Datenleck, bei dem Kreditkartennummern oder Kontozugangsdaten betroffen wären, würde sofortiges Handeln erfordern, etwa das Ändern von Passwörtern oder die genaue Beobachtung von Kontoauszügen. Ein Leck, das sich auf veraltete Verifizierungscodes aus einem Versandprozess beschränkt, ist ein begrenzteres Problem, auch wenn es immer noch personenbezogene Daten betrifft, von denen Kunden nicht erwartet hätten, dass sie offengelegt werden, nur weil sie Hardware bei einem vertrauenswürdigen Unternehmen bestellt haben. Das Vorhandensein jeglicher gestohlener personenbezogener Informationen, selbst scheinbar so harmloser Daten wie alter einmaliger Codes, stellt immer ein Datenschutzversagen dar, über das Kunden informiert werden müssen und das sie beunruhigen darf.
Warum Drittanbieter immer wieder zur Schwachstelle werden
Dieser Vorfall passt zu einem Muster, das branchenübergreifend immer vertrauter wird. Organisationen investieren stark in die Sicherung ihrer eigenen Netzwerke, aber die Anbieter, Auftragnehmer und Logistikdienstleister, auf die sie angewiesen sind, erhalten oft nicht dieselbe Prüfung, obwohl sie im Rahmen routinemäßiger Abläufe wie Auftragsabwicklung oder Versand sensible Kundendaten verarbeiten.
Im Gesundheitswesen gab es ähnliche Dynamiken. Der ChipSoft-Ransomware-Angriff, der niederländische Patientendaten offengelegt hat, hat gezeigt, wie die Kompromittierung eines einzelnen Softwareanbieters auf viele Menschen ausstrahlen kann, die nie eine direkte Beziehung zu dem gehackten Unternehmen hatten. Die kritische Infrastruktur war einer vergleichbaren Gefährdung ausgesetzt, wie sich zeigte, als Forscher mehr als 4.000 ungeschützte Wasseranlagen-Steuerungen fanden, die ohne ausreichenden Schutz mit dem Internet verbunden waren. In jedem Fall ist der rote Faden, dass das Risiko nicht an der eigenen Firewall eines Unternehmens endet. Es erstreckt sich über jeden Partner, Auftragnehmer und Lieferanten in der Kette.
Für Spieler und Hardware-Käufer ist die Lehre ähnlich. Ein Produkt bei einem vertrauenswürdigen Unternehmen zu bestellen, garantiert nicht, dass jeder Schritt des Lieferprozesses – von der Lagerung über den Versand bis zur Lieferbestätigung – mit dem gleichen Maß an Sicherheitssorgfalt behandelt wird.
Was das für Sie bedeutet
Wenn Sie Steam-Hardware gekauft und eine Benachrichtigung von Valve erhalten haben, scheint das praktische Risiko nach dem, was bisher offengelegt wurde, begrenzt zu sein: veraltete einmalige Codes statt Passwörtern oder Zahlungsinformationen. Dennoch ist das kein Grund, den Hinweis völlig zu ignorieren. Jedes Datenleck, das personenbezogene Daten betrifft, kann ein Sprungbrett für Betrüger sein, die Phishing-Kampagnen durchführen, da Angreifer oft Teilinformationen aus einem Leck nutzen, um nachfolgende Betrugs-E-Mails oder -SMS überzeugender wirken zu lassen.
Seien Sie vorsichtig bei unerwünschten Nachrichten, die sich auf eine kürzliche Steam-Hardware-Bestellung, eine Sendung oder ein Kontoproblem beziehen, insbesondere wenn Sie aufgefordert werden, auf einen Link zu klicken, einen Verifizierungscode einzugeben oder persönliche Daten zu bestätigen. Legitime Mitteilungen von Valve zu diesem Leck werden Sie nicht auffordern, Ihr Steam-Passwort oder Ihre Zahlungsdaten als Antwort preiszugeben.
Umsetzbare Handlungshinweise
Kunden, die von diesem Steam-Datenleck betroffen sind, sollten einige einfache Vorsichtsmaßnahmen treffen. Erstens: Überprüfen Sie jede Benachrichtigungs-E-Mail von Valve sorgfältig und stellen Sie sicher, dass sie mit den Details Ihrer eigenen Hardware-Bestellung übereinstimmt. Zweitens: Klicken Sie nicht auf Links in unerwarteten Folgenachrichten, die angeblich mit dem Leck zu tun haben, und besuchen Sie stattdessen direkt die offiziellen Kanäle von Valve, wenn Sie Bedenken haben. Drittens: Achten Sie auf Phishing-Versuche, die sich auf Versand- oder Lieferprobleme beziehen, da durchgesickerte Daten – selbst begrenzte – in den kommenden Wochen überzeugendere Social-Engineering-Versuche befeuern können. Und schließlich: Ziehen Sie in Betracht, zusätzliche Kontosicherungen wie die Zwei-Faktor-Authentifizierung zu aktivieren, falls noch nicht geschehen, denn mehrschichtige Sicherheit hilft, den Schaden durch Lecks zu begrenzen, die Sie nicht kontrollieren können, egal ob bei Valve, einem Versandpartner oder einem anderen Dienst, auf den Sie angewiesen sind.
